You are here: TUTWiki>Tietoturva/Tutkielmat>Tutkielmat?>IntelIPT

TTY / Tietoturvallisuuden jatkokurssi / Harjoitustyö 2012 / Valmis

Jenna Lehtimäki

Intel Identity Protection Technology

Johdanto

Verkossa tapahtuvat identiteettivarkaudet ovat kasvava uhka, joka aiheuttaa suuria rahallisia tappioita sekä haittaa niille, joiden tilejä käytetään laittomasti [1]. Vastatakseen tähän uhkaan, Intel on kehittänyt vahvan tunnistautumisen teknologian, joka suojaa käyttäjän tilejä kaappaukselta parantaen näin tietoturvaa. Tässä harjoitustyössä esitellään Intel Identity Protection teknologian (IPT) toimintaa ja sen turvallisuutta edistäviä piirteitä. Lopussa esitetään myös kritiikkiä teknologiaa kohtaan.

Mikä Intel Identity Protection Technology on?

Oman identiteetin ja pilvessä säilötyn datan turvaaminen vaatii vahvaa autentikointia, sillä salasana voi olla helposti murrettavissa. Lisäksi käyttäjillä on taipumus valita heikkoja salasanoja ja käyttää samaa salasanaa monessa eri palvelussa, mikä asettaa tietoturvauhkan. Intel Identity Protection Technology (IPT) vastaa tähän tietoturvahaasteeseen esittelemällä tunnistautumisen, joka koostuu käyttäjän tietämästä käyttäjätunnuksesta ja salasanasta sekä kuusinumeroisesta avaimesta, joka luodaan käyttäjältä piilossa käyttöjärjestelmästä eristyksissä toimivassa sulautetussa prosessorissa (Manageability Engine, ME). [1.] Näin palveluun tunnistautuminen sidotaan käyttäjän päätelaitteeseen.

Intel IPT lisää toisen autentikoitumiskerroksen tunnistautumiseen, sillä sen kautta tunnistautuminen ei perustu vain siihen, mitä käyttäjä tietää (käyttäjätunnus ja salasana), vaan myös siihen, mitä hänellä on hallussaan (päätelaite) [11]. Käyttäjälle tämä ei kuitenkaan aiheuta Intel IPT:n aktivoimisen jälkeen sen enempää vaivaa kuin heikon autentikoinnin käytäminen. Intel IPT:n johdosta käyttäjän salasanankin paljastuessa, vihollinen ei pääse käsiksi käyttäjän tiliin. Toisaalta jos päätelaite joutuu varastetuksi, vihollisen on kuitenkin vielä tiedettävä käyttäjän tunnus ja salasana kaappausta varten. Näin ollen mahdollisuus väärinkäytöksille pienenee.

Avain on tunnistautumisessa laitteen ja palvelun välinen yhteinen salaisuus, joka on jokaisella käyttökerralla yksilöllinen. Avain lasketaan aina 30 sekunnin välein, jotta senkään paljastuttua ei tiliin enää myöhemmin päästä käsiksi. [2.] Kun koodi syötetään Intel IPT-tunnistautumisen sallivalle verkkosivulle, pilvipalvelulle tai VPN-yhteydelle, verrataan palvelimen samalla siemenluvulla ja algoritmilla luotua avainta laitteessa luotuun. Jos nämä ovat samat, vahva tunnistautuminen on positiivinen. Intel IPT:iin voi yhdistää useamman tietokoneen ja vieraaltakin laitteelta pääsee käsiksi tiliin, mutta tällöin on vastattava ylimääräisiin turvakysymyksiin [1.] Jotkut sivustot ovat toteuttaneet tämän tekstiviestipalveluna, jolloin kertakäyttösalasana lähetetään käyttäjän puhelimeen [11].

Erityistä tässä teknologiassa on Intelin [1] mukaan se, että se korvaa käyttäjän fyysisen tokenin sulautetulla tokenilla, joka käyttää itsenäisten ohjelmistotalojen algoritmeja kuusinumeroisen avaimen eli kertakäyttösalasanan (engl. one-time password, OTP) luomisessa. Intel IPT:llä tunnistautuminen palveluun on sidottu tiettyyn fyysiseen laitteeseen, jolloin vieraalta laitteelta tunnistamista yrittävän on paljon hankalampi murtautua tilille kuin pelkällä salasanalla tunnistautuessa.

Vaatimukset käytölle

Intel IPT:n käyttäminen vaatii laitteiston, jossa on vähintään toisen sukupolven Intel Core –prosessori (i3, i5 tai i7) valmistajalta, joka on hyväksynyt tarvittavan laiteohjelmiston sisällytettäväksi tietokoneisiinsa. Intelin verkkosivuilta on nähtävillä lista kaikista laitteista, jotka tukevat Intel IPT:tä. Näiden lisäksi tarvitaan vielä aktivoitu piirisarja sekä Symantecin tai Vascon ohjelmisto. Jotta käyttäjä saa teknologian käyttöön, on se aktivoitava omassa laitteessa liittämällä laite haluttuun tiliin. [1, 9.]

Intel IPT generoi kertakäyttösalasanan, mutta sitä hyödyntääkseen tarvitsee ohjelmiston, kuten Symantecin VeriSign Identity Protection (VIP) –palvelun VeriSign -autentikointia käyttäville sivustoille [12]. Toinen esimerkki ohjelmistosta, joka osaa hyödyntää Intel IPT:aa, on Vascon DIGIPASS [10]. Youtubessa sekä Intelin ja Symantecin sivustoilla on nähtävissä monia eri Intel IPT:aa esitteleviä videoita, joissa havainnollistetaan, miten teknologian käyttäminen käytännössä tapahtuu. Esimerkiksi eBay:ssä ensimmäisen kerran Intel IPT:lla kirjautuessa, on käyttäjän syötettävä avaimen sarjanumero sekä kaksi laitteen luomaa kuusinumeroista avainta. Avain ja sarjanumero ovat nähtävillä Symantecin VIP-ohjelmistossa. Joissain palveluissa ensimmäiselläkään kerralla käyttäjän ei tarvitse syöttää avaimia itse. Ensimmäisen kirjautumisen jälkeen eBay tunnistaa Intel IPT:n automaattisesti, jos käyttäjä tämän vain sallii, eikä käyttäjän tarvitse syöttää kuin käyttäjätunnus ja salasana normaaliin malliin. [katso 5.]

Intel IPT -teknologia ei ole vielä käytössä monillakaan tunnistautumista vaativilla verkkosivuilla. Esimerkkeinä sivustoista, joissa se on sallittu, on mainittu eBay:n lisäksi PayPal. Tuoretta tietoa Intel IPT:n sallivien sivujen määrästä ei ole, mutta vuoden 2011 alussa Intel on ilmoittanut teknologian olevan käytössä 145 muulla sivustolla Symantecin VIP-autentikoinnin kautta. [9.]

Turvallisuuden edistäminen ja teknologian tuomat hyödyt

Intelin [1] mukaan eniten Intel IPT:sta hyötyvät tavalliset tietokoneenkäyttäjät, sillä he saavat helposti käyttöönsä teknologian, joka parantaa heidän tietoturvaansa pienentämällä identiteettivarkauden riskiä. Lisäksi heidän ei enää tarvitse vastata turvakysymyksiin tai vastaanottaa lisävahvistusviestiä tekstiviestillä [2]. Intel IPT toimii käyttäjän näkökulmasta automaattisesti, jolloin käyttö on yhtä helppoa kuin heikon autentikoinnin käyttö. Intel IPT:n eräs markkinoija onkin lausahtanut uskovansa käyttäjän alkavan vaatia Intel IPT:n kaltaista suurempaa turvaa verkkopalveluilta. Tällöin käyttäjä voisi alkaa vältellä palveluja, joissa ei lisäturvaa tarjota. [9.] Intelin [1] mukaan myös palveluntarjoajat hyötyvät, koska he voivat tarjota käyttäjille turvallista tunnistautumiskeinoa, jota on helppo ylläpitää.

Intel IPT soveltuu myös yrityskäyttöön. Sen avulla fyysinen token voidaan korvata laitteen sisällä olevalla sulautella avaingeneraattorilla, mikä on sekä käyttäjälle nopeaa ja helppoa että ylläpitäjälle helpompi hallita ja yritykselle halvempaa [12]. Suojauksen taso pysyy kuitenkin yhtä vahvana. Näin yrityksen ei tarvitse ostaa erikseen kertakäyttösalasanoja luovia tokeneita, vaan pelkkä tietokone riittää. Lisäksi fyysiset tokenit voivat myös hukkua helposti tai ne voidaan varastaa. Käyttäjä joutuu tässä toimintatavassa myös syöttämään kertakäyttösalasanan itse palveluun, jolloin hän saattaa helposti kirjoittaa sen väärin. [5,6.] Sama vaara piilee myös tekstiviestillä tulevissa kertakäyttösalasanoissa. Kaikki nämä mainitut käyttöä vaikeuttavat asiat aiheuttavat yritysten IT-osastolle ja help deskiin turhia kyselyitä [6]. Ne saattavat johtaa myös fyysisten tokenien väärinkäytöksiin, kuten siihen, että avaingeneraattori sidotaan kiinni kannettavaan tietokoneeseen. Intel IPT helpottaa vahvan autentikoinnin käyttämistä huomattavasti, sillä sen asetuksen ja ensimmäisen kirjautumisen jälkeen teknologian pitäisi toimia täysin automaattisesti.

Vahvan autentikoinnin lisäksi Intel IPT tarjoaa myös muita kehittyneitä turvallisuutta edistäviä ominaisuuksia, mutta tällöin käytössä tulee olla kolmannen sukupolven Intel Core –prosessorin omaava laite. Tällöin Intel IPT mahdollistaa lisäksi transaktioiden kryptauksen laitteessa luotavalla avaimella. [2.] Näissä laitteissa on mukana myös julkisen avaimen systeemi CSP-komponenttina (Cryptographic Service Provider), jota voidaan hyödyntää Microsoft CryptoAPI –ohjelmistokerroksen kautta [7]. Intel on myös tehnyt yhteistyötä MasterCardin kanssa, jonka johdosta tietokoneilla, jossa on NFC-maksupääte ja kolmannen sukupolven Intel Core –prosessori voi PayPass -maksujärjestelmää käyttämällä maksaa verkko-ostoksensa vilauttamalla PayPass -tuellista maksukorttia NFC-lukijassa ja transaktio on tällöin turvattu Intel IPT-teknologialla. Tämä toiminto on olemassa ainakin joissain uusissa Ultrabookeissa. [8.]

Kritiikkiä

Intel IPT on saanut osakseen myös paljon kritiikkiä ja jotkut väittävät jopa, että se ei tarjoa ollenkaan lisäturvaa tunnistautumiseen. Intel IPT:a pidetään myös osaksi Intelin mainoskikkana, jolla käyttäjät halutaan yhä vahvemmin sitoa yritykseen. Arveluja turvallisuudesta herättää erityisesti se, että Intel ei avoimesti kerro, mitä algoritmeja teknologiassa varsinaisesti käytetään. [ks. 3.] Lisäksi Intel IPT ei luultavasti pysty vastaamaan ongelmiin, jotka aiheutuvat haittakoodeista käyttäjän laitteessa. Tästä syystä voi olla mahdollista kirjoittaa haittakoodi, joka kutsuu IPT API:a tai salakuuntelee tunnistautumisprosessia. Lisäksi Intel IPT ei estä käyttäjän istunnon kaappausta sen jälkeen, kun autentikointi on tapahtunut. [4.]

Koska Intel IPT on suhteellisen uusi teknologia, ei sen tuomasta lisäarvosta tunnistautumisen turvallisuuteen ole varmaa tietoa olemassa. Lisäksi sen yksityiskohtainen toiminta on salattua, minkä vuoksi toimivuutta on vaikea arvioida objektiivisesti. Toisaalta myös se, että tietyn verkkopalvelun käyttö on rajattu tiettyihin päätelaitteisiin voi jossain tapauksissa olla käyttäjälle myös rasite riippuen siitä, miten lisätunnistautuminen on suunniteltu. Tämä voi osoittautua erityisen ongelmalliseksi, jos käyttäjä haluaa käyttää tiliään sekä Intel IPT:n sallivalla laitteella, että laitteella, joka ei sitä tue. Tällöin käyttäjä joutuu käyttämään usein lisätunnistautumisen keinoja, joista koituu hänelle lisävaivaa.

Tietoa siitä, missä verkkosivustoilla Intel IPT on käytössä, on huonosti saatavilla. Intelillä on ollut lista validoiduista Intel IPT-verkkosivuista, mutta se on ilmeisesti poistettu. Koska Intel IPT:n käyttömahdollisuudet ovat täten hiukan epäselvät, tavallinen kuluttaja tuskin on kovin innokas ottamaan menetelmää käyttöön. Käyttäjää voi myös arveluttaa teknologian aktivoiminen, jos sitä ei aktivoinnin jälkeen enää voi kytkeä pois päältä. Jonkinlainen poiskytkeminen kuitenkin väistämättä tarvitaan ainakin siinä vaiheessa, kun poistaa tietokoneen käytöstä ja luovuttaa sen eteenpäin.

Yhteenveto

Intel IPT on vahvan tunnistautumisen teknologia, jonka tarkoitus on ehkäistä verkkopalvelun tilin käyttöä tuntemattomalta laitteelta. Se pienentää Intelin itsensä mukaan huomattavasti tietoturvariskiä, joka aiheutuu heikoista salasanoista ottamalla päätelaitteen osaksi autentikointia. Intel IPT:n toiminnasta on kuitenkin esitetty myös paljon kritiikkiä eikä teknologia näytä ainakaan toistaiseksi ottaneen vielä kunnolla tulta alleen. Se on kuitenkin mielenkiintoinen uudenlainen turvallisuustekniikka, jolla voisi myös olla potentiaalia yleistyäkin muutamista epäkohdista huolimatta.

Lähteet

SivuTiedotLaajennettu edit

Vaativuus Jatko
Valmius Valmis
Tyyppi Esitys
Luokitus Toimet
Mitä Yksityisyys
Miltä Tahallinen uhka
Missä Järjestelmä
Kuka Tite-maallikko
Milloin Ennakolta
Miksi Muu toimijan ja hänen yhteisönsä ulkopuolinen tekijä
Print version |  PDF  | History: r7 < r6 < r5 < r4 | 
Topic revision: r7 - 07 Dec 2012 - 16:37:36 - JennaLehtimaki?
 

TUTWiki

Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback